クイック回答
プロキシ経由で公開データを収集するとき、GDPRは何を求めていますか？
データに個人データが含まれる場合、法的根拠（通常はGDPR第6条(1)(f)の正当な利益）を文書化し、必要なフィールドのみを収集します。スクレイピングに反対するサイトを除外し、テキスト・データマイニングの留保を尊重します。EuroCity Proxiesが2026年10月に読んだEDPB、CNIL、Garante、オランダAPのガイダンスからこのチェックリストを作成しました。これは法的助言ではありません。
オンラインで誰でも閲覧できるデータにGDPRは適用されますか？
はい、そのデータが識別可能な個人に関連する時点で適用されます。GDPRは第4条(1)で個人データを定義しており、公開されているからといって個人データの範疇から外れるわけではありません。オランダの監督機関(AP)は、スクレイピングはほぼ常に個人データを収集すると述べています。
一部のデータは通常個人データではありません。スーパーマーケットの価格表、配送料、チェーン店の営業時間などです。同じページ上の他のデータは個人データです。レビュー投稿者の名前、クラシファイド広告の個人出品者、代理店の電話番号、写真に写った顔などです。収集する前に各フィールドを洗い出してください。
チェックリストにはどのような手順が含まれますか？
フィールドを洗い出す
収集予定のすべてのフィールドを列挙し、そのうちどれが個人を識別できるかを示します。不要なものは削除します。
法的根拠を文書化する
正当な利益については、EDPBが3つの累積要件を挙げています。正当な利益、処理の必要性、そして関係者が優先されないことのバランステストです。開始前に評価を文書化してください。
最小化とフィルタリング
第5条(1)(c)は、必要な範囲に限定したデータを求めています。CNILは事前に定義した正確な収集基準と、それに反して収集されたデータの迅速な削除を求めています。
反対するサイトを除外する
robots.txt、CAPTCHA、または利用規約によってスクレイピングを拒否するサイトはスキップしてください。CNILとEDPBはともにこれを安全策として挙げています。
機微データを排除する
健康、宗教、政治的意見、その他の第9条のカテゴリには別途の例外が必要です。フィルタリングで除外し、誤って収集した場合は直ちに削除してください。
通知と異議申立ての機会
第14条は本人から取得していないデータを対象とし、第21条は異議申立ての権利を定めています。CNILは情報源のリストの公開とオプトアウトリストの維持を提案しています。
リスクが高い場合はDPIAを実施する
第35条は高リスクの処理に対するデータ保護影響評価を要求しており、APのスクレイピングに関するガイダンスにも含まれています。
著作権の留保を確認する
DSM指令第4条に基づくテキストおよびデータマイニングは、オンラインコンテンツの場合、権利者が機械可読な手段で留保した時点で停止します。
EUのデータ保護機関はWebスクレイピングについて何と言っていますか？
| 機関 | 文書 | 日付 | プロキシユーザーへのポイント |
|---|---|---|---|
| EDPB | 第6条(1)(f)に基づく処理に関するガイドライン1/2024、協議用バージョン1.0 | 2024年10月8日採択 | 3つの累積要件。処理前に評価・文書化する |
| EDPB | ChatGPTタスクフォースによる作業報告書 | 2024年5月24日公開 | Webスクレイピングを独自のリスクを伴う収集段階として扱い、第6条(1)(f)に基づき評価 |
| EDPB | AIモデルに関する意見28/2024 | 2024年12月18日採択 | 安全策の例として、robots.txtやai.txtの尊重などにより反対するサイトを除外することを挙げている |
| CNIL(フランス) | フォーカスシート:正当な利益とWebスクレイピングによる収集 | 2025年6月19日 | 事前に設定した収集基準、スクレイピングを拒否するサイトの除外、無関係なデータの削除、オプトアウトリスト |
| Garante(イタリア) | 生成AIのトレーニングのためのWebスクレイピングに関する情報ノート(決定登録番号329) | 2024年5月20日（官報第132号、2024年6月7日） | サイト運営者向けの考えられる対抗措置。GDPR上の義務ではなく選択肢として提示 |
| AP（オランダ） | 個人および民間組織によるスクレイピングのためのガイドライン | 2025年4月 | スクレイピングはほぼ常に個人データを伴う。robots.txtの遵守は追加の保護措置の一つとして挙げられている |
テキストおよびデータマイニングについてEU著作権法は何と定めているか？
指令（EU）2019/790の第4条は、適法にアクセス可能なコンテンツのテキストおよびデータマイニングを認めている。これは権利者がその利用を留保していない場合にのみ適用され、オンラインコンテンツについてはrobots.txtのルールなど機械可読な手段による留保が対象となる。第3条は研究機関および文化遺産機関向けに、より広い例外を追加している。
2025年12月、ハンブルク高等地方裁判所は、非営利の研究団体であるLAIONが科学研究目的のTDM例外に依拠できると判断した。また、平易な文言による留保は2021年に利用可能な技術では機械可読ではなかったとも判断した。これは変わり得るとして、連邦通常裁判所へのさらなる上訴が認められた。商業的な収集については、今日、利用条件における平易な文言の留保を拘束力のあるものとして扱うべきである。これは法的助言ではない。
プロキシを使うとこれらの義務は変わるか？
いいえ。どの出口IPを使っても、収集するデータの管理者はあなたのままである。ミュンヘンやミラノのレジデンシャルIPはそのページのローカル版を提供するが、収集を適法にするものではない。
当社側では、Acceptable Use Policyがすべてのアカウントに適用される。ブロック対象：銀行、政府、決済ポータルのサイト、およびSMTP（メール送信）ポート25、465、587。リクエストの内容、完全なURL、ページデータは記録しません。不正利用報告や請求紛争に対応するため、接続メタデータ（時刻、アカウント、出口IP、ターゲットホスト名、バイト数）を最大30日間保持し、その後削除します。アカウント番号、注文、入金記録、トラフィック合計はアカウント開設中、およびその後は会計規則で求められる期間のみ保持します。記録は法律で求められる場合にのみ当局へ開示します。上流のネットワークプロバイダーは独自のポリシーに基づき独自のログを保持する場合があります。プライバシーポリシーに詳細を記載している。
価格やローカルチェックにはどのような構成が妥当か？
人ではなく企業のデータを収集する：価格、手数料、在庫、配送枠など。レビュアー名、販売者プロフィール、連絡先はパーサーに含めないか、保存前に削除する。
都市ごとのスティッキーセッションで説明されているように、1都市・1実行につき1セッションで、レートを控えめに保つ。最初の実行前に各サイトのrobots.txtと利用規約を読む。サイトが自動アクセスを拒否する場合は、手作業で確認するか公式APIを使用する。
GDPRとプロキシ：よくある質問
EUで公開データを収集することは合法か？
データ、目的、サイトの利用規約による。公開された個人データもGDPRの対象であり、著作権の留保がテキストおよびデータマイニングを制限することがある。このページは規則とガイダンスを列挙するものであり、あなたのケースを判断するものではない。これは法的助言ではない。
正当な利益は商業プロジェクトをカバーできるか？
3つの条件を満たし文書化すれば可能である：正当な利益、必要性、均衡テスト。EDPBのガイドライン1/2024が各条件を説明している。当局は最小化や異議を唱えるサイトの除外などの保護措置を伴い、個別に評価する。
GDPRの下でrobots.txtを尊重する必要はあるか？
GDPRはrobots.txtに言及していない。CNILは、スクレイピングを明確に拒否するサイトを除外しなければ、収集は人々の合理的期待に応えられないと述べている。EDPBとAPはrobots.txtの遵守を保護措置の一つとして挙げている。DSM指令の下では、機械可読な留保もテキストおよびデータマイニングを制限する。
どの当局が管轄か？
通常はEUにおける主たる事業所の所在国の当局である。各EU加盟国には1つ以上の当局があり、EDPBのメンバーとして列挙されている。例として、フランスのCNIL、イタリアのGarante、オランダのAutoriteit Persoonsgegevensがある。
価格や配送料は個人データか？
企業に属する場合は通常そうではない。屋号や個人販売者の出品など、個人と結びつくと個人データになり得る。各フィールドを確認すること。
EuroCity Proxiesは私のリクエストについて何を保持するか？
リクエストの内容、完全なURL、ページデータは記録しません。不正利用報告や請求紛争に対応するため、接続メタデータ（時刻、アカウント、出口IP、ターゲットホスト名、バイト数）を最大30日間保持し、その後削除します。アカウント番号、注文、入金記録、トラフィック合計はアカウント開設中、およびその後は会計規則で求められる期間のみ保持します。記録は法律で求められる場合にのみ当局へ開示します。上流のネットワークプロバイダーは独自のポリシーに基づき独自のログを保持する場合があります.
ソース (11)
- 規則（EU）2016/679（GDPR）第4条、第5条、第6条、第9条、第14条、第21条、第35条 — EUR-Lex (checked 2026-10-18)
- デジタル単一市場における著作権に関する指令（EU）2019/790 第3条、第4条 — EUR-Lex (checked 2026-10-18)
- GDPR第6条(1)(f)に基づく個人データの処理に関するガイドライン1/2024 — European Data Protection Board (adopted 2024-10-08, checked 2026-10-18)
- ChatGPTタスクフォースによる作業報告書 — European Data Protection Board (2024-05-24, checked 2026-10-18)
- AIモデルの文脈における個人データの処理に関するデータ保護の特定の側面についての意見28/2024 — European Data Protection Board (2024-12-18, checked 2026-10-18)
- La base légale de l'intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping) — CNIL (2025-06-19, checked 2026-10-18)
- Provvedimento del 20 maggio 2024 [10020316]: Nota informativa in materia di web scraping per finalità di addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto — Garante per la protezione dei dati personali (2024-05-20, checked 2026-10-18)
- 個人および民間組織によるスクレイピングのためのガイドライン — Autoriteit Persoonsgegevens (2025-04-02, checked 2026-10-18)
- ハンブルク高等地方裁判所、AIトレーニングが許容されたことを確認（Kneschke対LAION） — Bird & Bird (2025-12-17, checked 2026-10-18)
- EDPBメンバー（各国の監督当局） — European Data Protection Board (checked 2026-10-18)
- RFC 9309: Robots Exclusion Protocol — IETF (September 2022)